LEY GENERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS
CÁMARA DE DIPUTADOS DEL H. CONGRESO DE LA UNIÓN
Nueva Ley DOF 26-01-2017
Secretaría General
Secretaría de Servicios Parlamentarios
existencia, alcance y contenido de la prestación del servicio en términos de lo previsto en el presente
Capítulo.
Artículo 63. El responsable podrá contratar o adherirse a servicios, aplicaciones e infraestructura en
el cómputo en la nube, y otras materias que impliquen el tratamiento de datos personales, siempre y
cuando el proveedor externo garantice políticas de protección de datos personales equivalentes a los
principios y deberes establecidos en la presente Ley y demás disposiciones que resulten aplicables en la
materia.
En su caso, el responsable deberá delimitar el tratamiento de los datos personales por parte del
proveedor externo a través de cláusulas contractuales u otros instrumentos jurídicos.
Artículo 64. Para el tratamiento de datos personales en servicios, aplicaciones e infraestructura de
cómputo en la nube y otras materias, en los que el responsable se adhiera a los mismos mediante
condiciones o cláusulas generales de contratación, sólo podrá utilizar aquellos servicios en los que el
proveedor:
I.
Cumpla, al menos, con lo siguiente:
a)
Tener y aplicar políticas de protección de datos personales afines a los principios y deberes
aplicables que establece la presente Ley y demás normativa aplicable;
b)
Transparentar las subcontrataciones que involucren la información sobre la que se presta el
servicio;
c)
Abstenerse de incluir condiciones en la prestación del servicio que le autoricen o permitan
asumir la titularidad o propiedad de la información sobre la que preste el servicio, y
d)
Guardar confidencialidad respecto de los datos personales sobre los que se preste el servicio;
II.
Cuente con mecanismos, al menos, para:
a)
Dar a conocer cambios en sus políticas de privacidad o condiciones del servicio que presta;
b)
Permitir al responsable limitar el tipo de tratamiento de los datos personales sobre los que se
presta el servicio;
c)
Establecer y mantener medidas de seguridad para la protección de los datos personales sobre
los que se preste el servicio;
d)
Garantizar la supresión de los datos personales una vez que haya concluido el servicio
prestado al responsable y que este último haya podido recuperarlos, y
e)
Impedir el acceso a los datos personales a personas que no cuenten con privilegios de
acceso, o bien, en caso de que sea a solicitud fundada y motivada de autoridad competente,
informar de ese hecho al responsable.
En cualquier caso, el responsable no podrá adherirse a servicios que no garanticen la debida
protección de los datos personales, conforme a la presente Ley y demás disposiciones que resulten
aplicables en la materia.
TÍTULO QUINTO
22 de 52